Firestore触发Permission Denied错误，配置安全规则后仍未生效求助

核心根因 #

你当前的架构下，前端仅将用户UID传递给后端，但后端发起Firestore查询时没有携带已登录用户的身份凭证，导致Firestore安全规则读取到的request.auth为null，触发权限校验失败。
如果你后端使用Firebase客户端SDK初始化，未做身份认证的请求会被安全规则拦截；如果使用Firebase Admin SDK，默认会绕过安全规则，不会触发该类报错。

修复步骤 #

方案1：保留后端转发逻辑，补充身份校验 #

前端修改：传递用户ID Token

前端登录后获取用户的ID Token，放在请求头中传递给后端：

auth.onAuthStateChanged(async function(user){
    if (user){
        const userid = user.uid;
        await populateBanner(userid)
    }
    else{
        window.location.href = "./index.html"
    }
})

async function populateBanner(userid){
    // 新增：获取当前登录用户的ID Token
    const idToken = await auth.currentUser.getIdToken();
    var data = await fetch(bannerendpoint + userid, {
        method: "GET",
        headers: {
            'Content-Type': 'application/json',
            // 新增：将ID Token放入请求头
            'Authorization': `Bearer ${idToken}`
        }
    });
    // 原有后续逻辑
}

后端修改：验证身份后再发起查询

后端使用Firebase Admin SDK验证ID Token合法性，再执行查询操作：

const admin = require('firebase-admin');
// 预先使用服务账号初始化Admin SDK
app.get("/banner/:pilotid", async function (req,res){
    try {
        // 提取请求头中的ID Token
        const idToken = req.headers.authorization?.split('Bearer ')[1];
        if(!idToken) return res.status(401).send('缺少身份凭证');
        // 验证Token合法性
        const decodedToken = await admin.auth().verifyIdToken(idToken);
        // 校验请求的用户ID和Token对应的用户ID一致，防止越权访问
        if(decodedToken.uid !== req.params.pilotid) {
            return res.status(403).send('无权访问该用户数据');
        }
        let pilotid = req.params.pilotid
        let bannerresponse = await getBannerData(pilotid)
        res.set({
            "Content-Type": "application/json",
        });
        res.send(bannerresponse);
    } catch (e) {
        console.error(e);
        res.status(500).send('请求处理失败');
    }
});

async function getBannerData(pilotid){
    // 后端使用Admin SDK操作Firestore会自动绕过安全规则，无需额外配置
    let pilot = await db.collection('pilots').doc(pilotid).get()
    // 原有后续逻辑
}

方案2：简化架构，前端直接查询Firestore #

如果接口逻辑简单，可去掉后端转发层，直接在前端调用Firestore SDK，前端登录状态会自动携带到请求中，安全规则会正常生效：

async function populateBanner(userid){
    // 直接在前端查询Firestore，无需走express接口
    const pilotDoc = await db.collection('pilots').doc(userid).get();
    // 原有数据处理逻辑
}

其他注意事项 #

• Firestore安全规则修改后最长存在1分钟的生效延迟，修改后可稍等片刻再测试
• 所有异步操作建议添加try/catch捕获异常，避免未处理的Promise rejection导致Node进程退出
• 若使用9.x版本Firebase SDK登录失败，可检查初始化配置和登录语法，9.x使用模块化API，和8.x版本语法存在差异

内容的提问来源于stack exchange，提问作者Othniel Alexandre